Monitoraggio cyber di Top-Secured: analisi indipendente basata sul comunicato ufficiale di Mittwald e sulla stampa. Top-Secured non è affiliato a questa azienda e non le chiederà mai le sue credenziali bancarie né le sue password.
Il provider di hosting tedesco Mittwald ha reso noto il 7 novembre 2026 che un attaccante è entrato nella sua piattaforma attraverso il server MCP che consente ai clienti di gestire l’interfaccia mStudio da un assistente IA. L’intruso è rimasto inosservato dal 27 ottobre al 4 novembre; l’azienda ha spento il server MCP, informato le autorità e sta contattando i clienti coinvolti.
Cosa è successo
Mittwald, società tedesca di hosting che lavora soprattutto con agenzie web, ha pubblicato il 7 novembre 2026 sul suo blog un resoconto dell’incidente firmato dal fondatore e amministratore delegato. Il punto d’ingresso è stato il server MCP (Model Context Protocol) con cui i clienti gestiscono mStudio, l’interfaccia di amministrazione dell’hosting, da un assistente IA. Secondo la cronologia pubblicata, l’attaccante ha sondato la falla per la prima volta il 21 ottobre, poi per alcuni giorni si è comportato come un cliente qualunque, creando account di prova e tentando semplici iniezioni. Il 27 ottobre ha registrato un nuovo account e sfruttato la debolezza. Mittwald considera compromessi tutti i dati da quella data in poi.
Rilevamento e conseguenze
Il 4 novembre è stata notata un’attività anomala: il primo account dell’attaccante è stato bloccato e il server MCP, individuato come punto d’ingresso, è stato spento. Il 5 Mittwald ha bloccato i progetti con tracce dell’intruso, sospeso le nuove registrazioni, gli accessi a mStudio e quelli SSH, chiamato esperti forensi esterni e informato le autorità. Secondo l’azienda, 56 progetti di clienti sono stati compromessi e le scansioni successive non ne hanno trovati altri. mStudio e SSH sono tornati disponibili il 7 novembre; i siti bloccati per precauzione restano per ora offline. Mittwald ritiene che la rapidità delle azioni indichi l’uso di strumenti di IA; secondo The Record, non ha fornito altre prove. È annunciato un rapporto dettagliato.
Cosa fare ora
- Clienti Mittwald: leggete le e-mail e la pagina di stato del provider e verificate se qualcuno dei vostri progetti è tra quelli bloccati.
- Rinnovate i segreti conservati nei progetti dal 27 ottobre: password dei database, file
.env, chiavi API, chiavi SSH, account amministratore del CMS. - Cercate modifiche: file sconosciuti, nuovi amministratori, cron job cambiati; confrontate con un backup precedente al 21 ottobre.
- Attivate le passkey su mStudio, ora offerte da Mittwald.
- Censite i vostri connettori MCP e le integrazioni IA: limitate i permessi, assegnate token dedicati e registrate ogni chiamata.
Il nostro parere
Un connettore che permette a un assistente IA di agire sulla vostra infrastruttura è una nuova interfaccia di amministrazione remota e merita la stessa attenzione di un’API o di una VPN: privilegi minimi, monitoraggio e la possibilità di spegnerlo in pochi minuti.
Fonti
- Mittwald — Sicherheitsvorfall am MCP-Server
- The Record — Cyberattack on German hosting provider Mittwald
Come scegliamo, verifichiamo e scriviamo le nostre analisi →
La porta d’ingresso è stata una terza parte. Verificate cosa espongono pubblicamente i vostri fornitori — senza intrusione, solo informazioni pubbliche:
Temi che i tuoi server siano esposti? Il nostro team verifica, aggiorna e monitora infrastrutture Linux e cloud 24/7.
Parla con un esperto I nostri servizi di gestione server →
